Politique de confidentialité d'Arbo

Better Planet LLC

Version : 1.0
Date d'entrée en vigueur : 14 octobre 2026
URL publique : https://arbofamily.com/privacidad-fr
Langue : français · Autres versions : español · English · Deutsch

0. Ce que tu dois savoir en 30 secondes

• Arbo conserve l'histoire de vie d'un enfant : photos, mesures, étapes marquantes, émotions, fiches de santé, médicaments, aides liées au handicap, parcours scolaire, orientation professionnelle des adolescents et la position d'une puce traceur si tu en utilises une.
• Cela comprend des données de mineurs et des données de santé. Ce sont les deux catégories les plus sensibles qui existent, et elles sont traitées comme telles.
• Nous ne vendons pas de données. Il n'y a pas de publicité. Il n'y a ni traceurs publicitaires ni outils d'analyse d'audience tiers dans l'application. (Vérifié dans le code : l'application n'intègre aucun SDK d'analyse, de publicité ni d'attribution. Elle en intègre un de signalement d'erreurs, Sentry, qui reste éteint tant que nous ne l'activons pas : section 5.7.)
• Nous n'entraînons pas de modèles d'intelligence artificielle avec tes données, et nous exigeons la même chose de nos prestataires.
• En revanche, nous envoyons bien une partie de l'historique de l'enfant à Anthropic quand tu utilises le conseiller ou l'orientation professionnelle. La section 5 dit exactement ce qui est envoyé.
• Tu peux consulter, corriger, exporter et effacer les données. La section 10 dit comment.

1. Qui est responsable de tes données

Responsable du traitement (data controller) :

Better Planet LLC, société à responsabilité limitée constituée dans l'État du Nouveau-Mexique (États-Unis). Adresse : 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA

Contact vie privée : privacy@arbofamily.com Contact général : hola@arbofamily.com Site : https://arbofamily.com

Pour toute question sur la protection des données, ton contact est privacy@arbofamily.com.

2. À qui s'applique cette politique

• À toute personne qui crée un compte et utilise l'application (mère, père, tuteur ou autre adulte qui s'occupe de l'enfant).
• Aux enfants et adolescents dont cet adulte enregistre les données.
• À toute personne invitée sur le compte d'une famille.

Elle s'applique à l'application mobile (iOS et Android), au serveur d'Arbo et à tout site web que nous exploitons.

3. Quelles données nous recueillons, exactement

Cette section énumère ce que le système conserve réellement, champ par champ. Ce n'est pas un résumé : c'est l'inventaire.

3.1. Données du compte de l'adulte

3.2. Données de l'enfant ou de l'adolescent

Et une donnée qui appartient à la famille, pas à un enfant en particulier :

La langue du téléphone, pour le dicton : quand l'application demande le dicton de la semaine, elle envoie la langue et la région réglées sur le téléphone (par exemple es-CL). Le serveur ne s'en sert que tant que la famille n'a pas encore de culture, pour choisir la première ; ensuite, il l'ignore. Ce réglage n'est pas enregistré dans notre base de données : seule la culture choisie l'est, et n'importe quel adulte de la famille peut la changer depuis l'application.

Aucune de ces deux fonctions n'envoie de données à un tiers : ni à Anthropic, ni à AWS. Les mots et les dictons viennent de notre catalogue. Pour la prononciation, l'application utilise la voix de synthèse du système de ton téléphone ; ce qu'elle lit à voix haute, ce sont toujours des textes de l'application (le mot, sa phrase d'exemple, le dicton), jamais quelque chose que ta famille a écrit ; elle ne fait que parler, elle n'écoute pas. Nous pouvons désactiver l'une ou l'autre de ces fonctions pour tout le monde depuis notre panneau d'exploitation ; la désactiver n'efface rien.

3.3. Puce traceur (uniquement si tu en utilises une)

Avertissement important : le point d'entrée qui reçoit les signaux de la puce (/api/tracker/ping) n'exige pas de session utilisateur : il s'authentifie uniquement avec le code de l'appareil. Ce code est la seule barrière entre un tiers et la possibilité d'écrire de fausses positions dans le compte d'une famille. Traite-le comme un mot de passe.

Où on en est vraiment : le matériel n'existe pas encore. Aujourd'hui, le module génère des codes et sait recevoir des signaux, mais aucune puce n'émet. Si elles existent demain, la position d'un enfant devient une donnée de géolocalisation d'un mineur, l'une des catégories les plus sensibles qui soient.

3.4. Communication entre adultes

Dans un voisinage, les adultes des familles voisines partagent la discussion du cercle — chaque famille voit la conversation commune à partir du jour où elle y est entrée, et ce qu'elle a écrit avant d'y entrer reste privé de sa famille — et peuvent s'envoyer des messages privés. Des adultes d'une autre famille, on voit le nom affiché (ou, s'il n'y en a pas, la partie de l'adresse e-mail qui précède le « @ »), s'il s'agit du compte principal ou d'un adulte invité, le lien de parenté, la photo de profil, s'ils ont vérifié leur identité, depuis quand ils ont un compte, le nom de leur famille (un nom générique mis par l'application) et le nombre d'enfants de cette famille ; et de ces enfants, seulement leur nom de maison (le surnom ou le prénom), leur âge en toutes lettres (en années ou en mois), leur couleur préférée et leur genre. Jamais leur fiche, leur santé, leurs mesures, leurs photos ni leur position. La photo de couverture d'un adulte n'apparaît pas dans le cercle : l'application ne donne aux autres que l'adresse de sa photo de profil. Notre serveur remettrait bien la photo de couverture actuelle à quelqu'un qui partage son cercle s'il la demandait avec son adresse exacte, mais cette adresse est un nom aléatoire que l'application ne montre à personne d'autre.

Les messages sont conservés sur le serveur sans chiffrement de bout en bout. Better Planet peut techniquement y accéder, même si elle ne le fait pas de façon courante (voir section 8.4), et entre l'application et le serveur ils passent par Cloudflare (section 5.6).

3.5. Photos

• Elles sont conservées sous forme de fichiers dans un stockage privé Cloudflare R2 (section 5.6), pas dans la base de données, sous un nom que nous générons (UUID). Le nom du fichier que tu envoies n'est jamais conservé. Ce stockage n'a ni accès public ni liens de partage, et l'application ne s'y connecte jamais.
• Formats acceptés : JPEG, PNG et WebP. Taille maximale par fichier : 5 Mo.
• Elles ne sont servies qu'avec une session ouverte et qu'à travers notre serveur, qui vérifie d'abord qui les demande : la photo d'un enfant, seulement aux adultes de sa famille ; la photo de profil ou de couverture actuelle d'un adulte, aussi à ceux qui partagent son cercle (section 3.4). Les noms sont validés pour que personne ne puisse demander un fichier d'un autre répertoire.
• Avant d'être enregistrée, chaque photo passe par une analyse automatique de contenu chez Amazon Rekognition : celles de l'album et de la ligne de vie des enfants, et la photo de profil et de couverture des adultes. Le selfie et la pièce d'identité de la vérification d'identité (section 5.2) ne passent pas par cette analyse et ne sont pas enregistrés. Ce qui est envoyé, ce qui se passe si le filtre signale une photo et ce qui se passe si l'analyse échoue figurent à la section 5.3.
• Chaque envoi laisse sur le serveur une ligne dans un journal de vérification des photos : la famille, l'enfant ou l'adulte auquel appartient la photo, la date, la taille, le format et le résultat (acceptée, signalée ou non analysée) ; si le filtre l'a signalée, aussi les catégories qu'il lui a attribuées et, ensuite, la décision de notre équipe. Pour les photos acceptées, le nom du fichier n'est pas conservé. Pour celles que le filtre signale, une copie en quarantaine est gardée en plus, dans un répertoire à part que l'application ne montre pas. Quand chaque chose est effacée : section 5.3.
• L'application recompresse les images sur ton téléphone avant de les envoyer (qualité 0,7). Puis, à la réception d'une photo, le serveur lui retire ses métadonnées (EXIF, XMP et autres du même genre), y compris les coordonnées GPS de l'endroit où elle a été prise, le modèle du téléphone et l'heure. Seule l'orientation est conservée, pour que la photo ne s'affiche pas de travers.

3.6. Données techniques

Ce que nous ne recueillons PAS :

• Aucune publicité, aucun identifiant publicitaire (IDFA / GAID), aucun SDK d'analyse d'audience, aucun outil d'attribution, aucun pixel de suivi. Vérifié en lisant les dépendances de l'application. L'application intègre en revanche la bibliothèque de signalement d'erreurs de Sentry, éteinte tant que nous ne l'activons pas ; ce qu'elle envoie quand elle est allumée figure à la section 5.7.
• Nous n'accédons pas à la localisation de ton téléphone. L'application ne demande pas l'autorisation de localisation et n'intègre pas la bibliothèque qui le permettrait. La seule géolocalisation possible est celle que remonterait une puce physique (section 3.3). La langue et la région envoyées pour le dicton de la semaine (section 3.2) sont un réglage du téléphone, pas sa position.
• Nous ne lisons ni ton carnet d'adresses, ni ton agenda, ni ton micro, ni tes messages.
• Nous n'utilisons pas de notifications push depuis le serveur. Tous les rappels sont des notifications locales, programmées sur ton propre téléphone, y compris le rappel quotidien facultatif de « Un mot par jour » (section 3.7). Il n'existe aucun jeton push sur notre serveur et nous ne pouvons pas t'envoyer de notifications à volonté.

3.7. Ce qui est conservé sur ton téléphone

Ce rappel est une notification locale et facultative (section 3.6), que le téléphone programme lui-même une fois par jour. Il est éteint par défaut, avec une exception : sur le téléphone depuis lequel un adulte configure la fonction pour un enfant, il s'allume tout seul, à 19 h, sauf s'il avait déjà été allumé ou éteint sur ce téléphone. Chaque téléphone décide pour lui-même : sur chacun, on peut l'allumer, l'éteindre ou changer l'heure. Son texte ne contient pas le prénom de l'enfant (« Le mot du jour t'attend. »), puisqu'il s'affiche sur l'écran verrouillé.

Désinstaller l'application efface tout ce qui se trouve sur le téléphone, mais n'efface rien sur le serveur.

4. À quoi servent les données et sur quelle base légale

Nous n'utilisons pas les données pour : la publicité, le profilage commercial, des décisions automatisées produisant des effets juridiques, la vente ou la cession à des tiers à des fins commerciales, ni l'entraînement de modèles d'intelligence artificielle.

5. Avec qui les données sont partagées

Better Planet ne vend pas de données personnelles et ne les partage avec personne, sauf avec les prestataires qui font fonctionner le service, listés ici.

5.1. Anthropic PBC — conseiller en parentalité et orientation professionnelle

Quand : uniquement quand un adulte ouvre le conseiller et pose une question, ou quand une conversation guidée d'orientation professionnelle est envoyée pour analyse. Si tu n'utilises pas ces fonctions, rien n'est envoyé à Anthropic.

Ce qui est envoyé, exactement (lu dans le code ; le contexte est tronqué à 4 000 caractères) :

• Une marque à la place du prénom et du surnom de l'enfant (voir plus bas), son âge en années et son genre.
• Ce qu'il aime, tel que tu l'as écrit.
• Les soutiens ou besoins particuliers enregistrés, avec les mots de la famille, et ce qui l'aide.
• Jusqu'à 5 médicaments en cours : nom et intervalle entre les prises.
• Les 5 dernières mesures : date, taille, poids et étape marquante.
• Les émotions des 30 derniers jours : le décompte par émotion, et jusqu'à 5 notes écrites issues de ces entrées.
• Jusqu'à 5 problèmes de santé actifs ou chroniques : uniquement l'intitulé de la fiche (pas les notes).
• L'établissement scolaire actuel et la classe ou la filière.
• Les « talents » accumulés en mode jeu.
• Ta question (jusqu'à 1 000 caractères) et jusqu'à 6 tours précédents de la conversation.

Pour l'orientation professionnelle, on envoie en plus les 11 réponses libres de l'adolescent, y compris celle qui demande ce qu'il ressent.

Modèle utilisé : les modèles Claude d'Anthropic. Ce qu'Anthropic en fait : selon les conditions commerciales de son API, Anthropic n'entraîne pas ses modèles avec ces données et ne les conserve que pendant une durée limitée.

Pseudonymisation. Le prénom de l'enfant n'est pas envoyé à l'IA : à sa place circule une marque, et notre serveur remet le prénom dans la réponse avant de te l'afficher. C'est le cas pour le conseiller comme pour la conversation d'orientation professionnelle.

La conversation avec le conseiller n'est pas conservée sur notre serveur. L'analyse de la conversation d'orientation, elle, est conservée, parce qu'elle fait partie de l'historique de l'adolescent.

5.2. Amazon Web Services (Amazon Rekognition) — vérification d'identité, facultative

Quand : uniquement si la fonction est activée par nous et que tu décides de te vérifier. Ce qui est envoyé : deux images de l'adulte — un selfie et la photo de sa pièce d'identité — pour une comparaison faciale (CompareFaces). Ce que nous conservons : uniquement le résultat (vérifié / échec), le pourcentage de similarité et la date. Les images ne sont pas conservées sur notre serveur. Région de traitement : Nord de la Virginie (us-east-1), États-Unis.

Ce qu'AWS en fait : l'opération CompareFaces d'AWS ne conserve ni les images ni les gabarits faciaux. Par défaut, AWS peut utiliser le contenu envoyé à ses services d'IA pour les améliorer ; mais Better Planet a activé sur AWS la politique d'exclusion des services d'IA (AI services opt-out policy), si bien qu'AWS n'utilise pas ces images pour améliorer ses services.

Cette vérification n'envoie jamais de photo d'enfant : elle ne compare que le selfie et la pièce d'identité de l'adulte, qui ne passent pas par l'analyse de la section 5.3 et ne sont pas enregistrés. Les photos que tu ajoutes à l'application, en revanche, sont bien envoyées à Amazon, y compris celles des enfants : la section 5.3 explique quand, pourquoi et ce qui en reste.

5.3. Amazon Web Services (Amazon Rekognition) — analyse des photos à l'envoi

Toutes les photos qu'on envoie à l'application — celles de l'album et de la ligne de vie d'un enfant comme la photo de profil ou de couverture d'un adulte — partent vers Amazon Rekognition au moment de l'envoi. Nous l'écrivons en toutes lettres, parce qu'une politique qui se trompe là-dessus ne sert à rien.

Quand : à chaque envoi, avant que la photo soit enregistrée, tant que la fonction est allumée. Elle est allumée par défaut, et dans le service publié le serveur refuse de démarrer sans les identifiants de ce service. Nous pouvons l'éteindre pour tout le monde depuis notre panneau d'exploitation ; tant qu'elle est éteinte, rien n'est envoyé à Amazon et les photos sont enregistrées sans être analysées. Les deux images de la vérification d'identité (section 5.2) ne passent pas par cette analyse. Ce qui est envoyé : l'image, une seule fois, à l'opération DetectModerationLabels. Seulement l'image : ni le nom du fichier, ni le prénom de l'enfant, ni aucune autre donnée de la famille. Pour quoi faire : repérer du contenu inapproprié — par exemple de la nudité, du contenu sexuel ou de la violence, entre autres catégories définies par Amazon — avant que la photo soit enregistrée. Seules comptent les grandes catégories qu'Amazon détecte avec une confiance d'au moins 80 %, et une seule suffit pour que la photo soit refusée. Les règles des boutiques d'applications (chez Apple, la ligne directrice 1.2) exigent des applications où les gens publient du contenu un moyen de filtrer ce qui est inapproprié, et une application qui conserve des photos de mineurs ne devrait pas exister sans ce filtre. Ce qui n'est PAS fait : personne ne regarde les photos qui passent le filtre. Il n'y a ni reconnaissance faciale, ni identification des personnes, ni comparaison avec une base de visages. L'image voyage pour une classification automatique, et c'est tout.

Ce qui est conservé, selon le résultat :

• Si la photo passe : elle est enregistrée comme n'importe quelle autre (section 3.5). Dans notre journal, il ne reste qu'une ligne avec la famille, l'enfant ou l'adulte auquel elle appartient, la date, la taille, le format et le résultat — sans nom de fichier ni copie de l'image. Cette ligne est effacée au bout de 30 jours.
• Si le filtre la signale : la photo est refusée — elle n'entre pas dans l'album, et l'application te le dit — et une copie est gardée en quarantaine, dans un répertoire à part que l'application ne montre pas, pour qu'une personne de notre équipe vérifie depuis le panneau d'exploitation s'il s'agissait d'une erreur. Cela veut dire que quelqu'un chez Better Planet peut voir cette photo, qui sera souvent celle d'un enfant ; c'est le seul cas où le panneau d'exploitation montre une photo. La ligne du journal note aussi les catégories attribuées par Amazon et, ensuite, la décision de notre équipe. Trancher le cas efface la copie, quelle que soit la décision, et n'ajoute pas la photo à l'album : la décision est seulement notée. Si personne ne tranche, la copie est effacée d'elle-même 30 jours après l'envoi ; la ligne du journal est effacée elle aussi au bout de 30 jours, que le cas ait été tranché ou non. Si la famille a déjà 20 photos en attente de vérification, les suivantes que le filtre signale sont refusées de la même façon, mais aucune copie n'est plus gardée ; il n'y a pas non plus de copie si elle n'a pas pu être enregistrée. Dans ces cas aussi, la ligne du journal est effacée au bout de 30 jours, comme les autres.
• Si l'analyse ne peut pas se faire — Amazon ne répond pas, refuse l'image, le plafond quotidien d'analyses que nous fixons pour l'ensemble du service afin d'en maîtriser le coût est atteint, ou l'analyse échoue pour toute autre raison — : la photo n'est pas enregistrée, et l'application te demande de réessayer dans quelques minutes. Une photo qui n'a pas été analysée n'est jamais traitée comme une photo acceptée. Il reste une ligne dans le journal avec les mêmes données que pour une photo acceptée, marquée comme non analysée, sans fichier ni copie, qui est effacée au bout de 30 jours.

Si tu supprimes un enfant, les lignes du journal de ses photos et ses éventuelles copies en quarantaine sont effacées immédiatement ; si tu fermes ton compte, celles de tes photos de profil et de couverture ; et si le dernier compte de la famille est fermé, celles de toute la famille (section 9.2). Région de traitement : Nord de la Virginie (us-east-1), États-Unis.

Ce qu'AWS en fait : comme pour la vérification d'identité, Better Planet a activé sur AWS la politique d'exclusion des services d'IA (AI services opt-out policy) : AWS n'utilise pas ces images pour améliorer ses services.

5.4. Google LLC et Apple Inc. — connexion (facultative)

Si tu choisis « Continuer avec Google » ou « Se connecter avec Apple », ton téléphone obtient un jeton d'identité de ce fournisseur et nous le vérifions cryptographiquement contre ses clés publiques. Nous en tirons ton adresse e-mail et, si elle est fournie, ton nom. Nous n'obtenons ni ton mot de passe ni l'accès à ton compte Google ou Apple. Ce fournisseur saura que tu t'es connecté à Arbo.

5.5. Render — hébergement du serveur et de la base de données

Le serveur d'Arbo et sa base de données PostgreSQL sont hébergés chez Render, dans l'Oregon, aux États-Unis. Les photos ne sont pas conservées chez Render mais chez Cloudflare R2 (section 5.6), même si elles passent par le serveur quand elles sont envoyées et quand elles sont affichées. Render agit comme sous-traitant, en vertu de son accord de traitement des données, et ses employés n'accèdent pas aux données, sauf pour faire fonctionner l'infrastructure.

5.6. Cloudflare, Inc. — réseau, stockage des photos et site web

Cloudflare travaille pour nous dans trois rôles, toujours en tant que sous-traitant :

• Devant notre serveur. Tout le trafic entre l'application et notre serveur (api.arbofamily.com) passe par le réseau de Cloudflare : chaque requête et chaque réponse, les photos que tu envoies et celles que tu regardes, et les messages de la discussion. La connexion est chiffrée de ton téléphone jusqu'à Cloudflare, qui la déchiffre pour la transmettre et la chiffre de nouveau jusqu'à Render (section 8.2). Cela signifie que Cloudflare traite en transit tout ce qui circule entre l'application et le serveur, y compris les données des enfants, et voit ton adresse IP, qu'il nous transmet pour appliquer la limitation du nombre de requêtes (section 3.6). Notre serveur marque toutes les réponses de l'API pour qu'aucun intermédiaire ne les garde en cache (section 8.1).
• En conservant les photos. Toutes les photos — celles de l'album et de la ligne de vie des enfants, la photo de profil et celle de couverture des adultes, et les copies en quarantaine des photos que le filtre a signalées (section 5.3) — sont conservées chez Cloudflare R2, dans un stockage privé : sans accès public et sans liens de partage. L'application ne se connecte jamais à R2 : elle demande chaque photo à notre serveur, qui vérifie d'abord que tu peux la voir (section 3.5), puis seulement la lit dans R2 et te la remet. Quand une photo est effacée (sections 5.3 et 9.2), elle est effacée de R2. Emplacement du stockage : États-Unis (Amérique du Nord).
• Notre site web et notre courrier. Cloudflare Pages héberge le site public : la page d'accueil, cette politique, les conditions et la page pour demander la suppression du compte ; comme tout serveur web, il voit l'adresse IP de qui le visite. Cloudflare Email Routing reçoit les e-mails que tu nous écris à hola@arbofamily.com, privacy@arbofamily.com ou support@arbofamily.com et les fait suivre à la boîte de notre équipe, chez Google Workspace (Google LLC).

Par ailleurs, notre panneau d'exploitation peut être protégé par Cloudflare Access, qui demande un code à la personne de notre équipe avant de la laisser entrer. Access ne traite que des données de notre équipe, pas celles des familles.

Cloudflare agit comme sous-traitant en vertu de son accord de traitement des données. Les photos sont conservées aux États-Unis, chiffrées au repos.

5.7. Sentry (Functional Software, Inc.) — signalement d'erreurs

Nous utilisons Sentry pour savoir quand quelque chose tombe en panne et pouvoir le réparer. Il agit comme sous-traitant. Il fonctionne à deux endroits, et aux deux il reste éteint tant que nous ne l'activons pas par un réglage de notre part.

Sur notre serveur. S'il est activé, chaque fois que le serveur inscrit une erreur dans son journal — seulement alors : ni les avertissements ni l'activité normale —, il envoie à Sentry ce message, la trace technique de l'erreur (à quel endroit du code elle s'est produite), des données techniques sur le serveur et, comme contexte, les dernières lignes d'information et d'avertissement que le journal a inscrites avant l'erreur. Il n'envoie pas le contenu des requêtes. Par principe, notre journal n'inscrit ni noms, ni adresses e-mail, ni données des enfants, ni identifiants de connexion : il note des numéros internes (d'une famille, d'un enfant, d'un compte) et des descriptions techniques. Mais le texte technique d'une erreur inattendue peut, exceptionnellement, entraîner un fragment de la donnée qui l'a provoquée.

Dans l'application. S'il est activé, quand l'application rencontre une erreur ou se ferme de manière inattendue, elle envoie à Sentry :

• l'erreur : son type, son message et à quel endroit du code de l'application elle s'est produite ;
• des données techniques sur le téléphone et l'application : modèle, système d'exploitation et sa version, mémoire, réglages comme la langue ou le fuseau horaire, et la version de l'application ;
• le numéro interne de ton compte, jamais ton nom ni ton adresse e-mail ;
• ce qui s'est passé juste avant : par quels écrans elle est passée, avec le nom de la route sous forme de modèle (par exemple child/[id]/growth) ; quels appels elle a faits à notre serveur, eux aussi sous forme de modèle : l'adresse sans sa partie de requête et avec les numéros internes et les noms de fichier des photos masqués (par exemple /api/children/:id/growth), la méthode et le code de réponse ; et quels éléments ont été touchés, par le nom interne que leur donne le code de l'application et non par ce qu'ils affichent à l'écran. Ni les écrans ni les appels ne portent le numéro d'un enfant, d'un compte ou d'une photo.

Ce que l'application n'envoie pas : noms, adresses e-mail, données des enfants, captures d'écran, enregistrements de la session (Session Replay), la structure de l'écran, ce que l'application écrit dans sa console ni d'avis à chaque ouverture ou fermeture de l'application (les sessions d'utilisation) : seulement les erreurs et les plantages. Elle ne joint pas ton adresse IP et ne demande pas à Sentry de l'enregistrer (même si, comme pour toute connexion, Sentry la voit en recevant le rapport). Avant de quitter le téléphone, chaque rapport passe par un filtre qui efface les champs sensibles (mots de passe, jetons et sessions, adresses e-mail, prénoms et noms, dates de naissance, numéros de téléphone, adresses et coordonnées) et, dans n'importe quel texte, ce qui ressemble à un jeton ou à une adresse e-mail ; ce qu'il ne reconnaît pas comme tel, comme un mot isolé dans le message d'une erreur, il ne peut pas l'effacer.

Limite honnête : ce filtre s'exécute dans la partie JavaScript de l'application. Les plantages du code natif du téléphone sont enregistrés et envoyés — à la réouverture de l'application — par la partie native de la bibliothèque, et ne passent pas par ce filtre : ils portent le même numéro de compte, les mêmes données techniques et les fils d'Ariane qu'enregistre le système lui-même, qui peuvent inclure les adresses complètes des appels à notre serveur, avec leurs numéros internes, parce qu'ils ne passent pas non plus par le masquage décrit plus haut.

Région : États-Unis. Si les rapports d'erreurs sont activés, Sentry agit comme sous-traitant en vertu de son accord de traitement des données, et il est configuré pour ne pas conserver les adresses IP.

5.8. Resend — e-mail de récupération du compte

Quand : uniquement quand quelqu'un demande à récupérer le mot de passe (« mot de passe oublié ») avec une adresse e-mail qui correspond à un compte Arbo. Si personne ne le demande, rien n'est envoyé à Resend. Ce qu'il reçoit : l'adresse e-mail de l'adulte et le message que nous lui envoyons, dans la langue de la famille, avec un code à 6 chiffres valable 30 minutes. Rien sur les enfants. Ce que nous conservons : seulement une empreinte (hash) du code, jamais le code lui-même ; elle cesse d'être valable au bout de 30 minutes ou après 5 tentatives erronées. Resend agit comme sous-traitant, en vertu de son accord de traitement des données, et envoie l'e-mail pour notre compte, depuis hola@arbofamily.com. Région : États-Unis (us-east-1).

5.9. Expo / plateformes mobiles

L'application est construite avec Expo et distribuée par l'App Store d'Apple et Google Play. Ces boutiques recueillent leurs propres données sur le téléchargement et l'usage, selon leurs propres politiques de confidentialité, sur lesquelles nous n'avons aucun contrôle.

5.10. Autres cas dans lesquels nous pourrions divulguer des données

• Obligation légale : sur ordre d'un tribunal ou d'une autorité compétente.
• Sécurité : pour prévenir une fraude, une attaque ou un dommage grave et imminent pour une personne.
• Protection de l'enfance : nous signalerons aux autorités tout indice de matériel d'abus sexuel sur mineur ou de risque grave pour un enfant.
• Changement de contrôle : en cas de fusion, d'acquisition ou de cession d'actifs, les données pourraient être transférées à l'acquéreur, sous réserve de cette politique. Nous te préviendrions.

5.11. Récapitulatif des tiers

6. Transferts internationaux

Better Planet LLC est une entreprise américaine. Le serveur et la base de données sont hébergés dans l'Oregon, aux États-Unis ; les photos sont conservées aux États-Unis (Amérique du Nord) ; le trafic passe par le réseau mondial de Cloudflare, qui peut le traiter dans n'importe lequel de ses centres de données, généralement le plus proche de toi ; les e-mails de récupération du compte sont envoyés par Resend, aux États-Unis (us-east-1) ; et les rapports d'erreurs, s'ils sont activés, vont chez Sentry, aux États-Unis. Si tu es au Chili, dans l'Union européenne ou dans un autre pays, tes données sont transférées hors de ton pays.

• Pour les utilisateurs de l'UE / EEE, du Royaume-Uni et de Suisse : les transferts depuis l'Espace économique européen, le Royaume-Uni ou la Suisse s'appuient sur les clauses contractuelles types de la Commission européenne incluses dans l'accord de traitement des données de chaque prestataire ou, lorsque le prestataire est certifié, sur le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), ainsi que sur les mesures techniques décrites à la section 8.
• Pour les utilisateurs du Chili : en vertu de la loi 21.719, le transfert international exige des garanties appropriées. Lorsque l'Agence de protection des données personnelles du Chili publiera des instructions sur les transferts internationaux, nous y adapterons ces garanties.

7. 🔴 DONNÉES DES ENFANTS ET DES ADOLESCENTS

C'est la section la plus importante de cette politique.

7.1. Arbo existe pour conserver des données de mineurs

Ce n'est pas un effet secondaire : c'est la raison d'être de l'application. Presque tout ce qu'Arbo stocke est une information sur un mineur, et une part importante relève des données de santé, que la loi traite comme la catégorie la plus protégée.

7.2. Qui peut enregistrer un enfant

Uniquement un adulte qui est sa mère, son père, son tuteur légal ou la personne qui en a la garde, ou qui agit avec l'autorisation expresse de cette personne. L'adulte le déclare au moment de créer la fiche. Nous ne pouvons pas le vérifier, et c'est pour cela que nous le demandons de façon explicite et bien visible.

7.3. L'enfant n'a pas de compte à lui

Les mineurs ne créent pas de compte sur Arbo et ne se connectent pas. Toutes les informations sont saisies et contrôlées par un adulte. Quand un enfant utilise le « mode enfants » ou répond au mot du jour, ou qu'un adolescent répond à la conversation guidée, il le fait sur l'appareil de l'adulte et sous sa supervision.

7.4. Consentement parental vérifiable (COPPA, États-Unis)

Comme l'application s'adresse aux familles et recueille des informations personnelles d'enfants de moins de 13 ans, le Children's Online Privacy Protection Act des États-Unis s'applique, ainsi que son règlement réformé par la FTC, dont le respect intégral est exigible à partir du 22 avril 2026. En conséquence :

• Seul un parent ou un tuteur peut fournir les données de l'enfant.
• Le consentement est demandé de façon claire et distincte avant la création de la première fiche d'un mineur.
• La communication à des tiers exige un consentement distinct du consentement général de collecte — c'est l'une des nouveautés de la réforme de 2025. C'est pourquoi l'envoi de données au conseiller IA fait l'objet d'un consentement à part et peut être refusé sans perdre le reste de l'application.
• L'information donnée aux parents précise quels tiers reçoivent des données et pour quoi faire.
• Un parent peut à tout moment consulter les données de son enfant, en demander l'effacement et retirer son consentement, sans que cela l'empêche de continuer à utiliser le reste du service.
• La participation de l'enfant à une activité n'est jamais conditionnée à la fourniture de plus de données que nécessaire.

Comment le consentement est recueilli : le compte est créé par un adulte, qui déclare être la mère, le père, le tuteur légal ou la personne qui a la garde de l'enfant, et qui donne son consentement exprès au moment de l'ajouter. L'enfant ne crée pas de compte et ne saisit pas de données de son propre chef. Si tu es parent et que tu penses que nous avons enregistré des données de ton enfant sans ton consentement, écris à privacy@arbofamily.com et nous les effacerons.

7.5. Chili : intérêt supérieur et autonomie progressive (loi 21.719)

La loi chilienne, pleinement en vigueur à partir du 1er décembre 2026, instaure un régime renforcé pour les données des enfants et des adolescents (art. 16 quáter) :

• Le traitement doit respecter l'intérêt supérieur du mineur et son autonomie progressive.
• Pour traiter les données d'un enfant (moins de 14 ans), il faut le consentement des parents, des représentants légaux ou de la personne qui en a la garde.
• Pour les adolescents (14 à 17 ans), ce sont en général les règles applicables aux adultes qui s'appliquent, sauf pour les données sensibles des moins de 16 ans, qui exigent le consentement du père, de la mère ou du représentant.
• Les données de santé sont des données sensibles. La plus grande partie de ce qu'Arbo conserve sur un enfant relève de cette catégorie.
• Ceux qui traitent des données de mineurs ont un devoir particulier de veiller à leur usage licite et à leur protection.

Conséquence pratique pour Arbo : les données de santé d'un adolescent de 14 ou 15 ans continuent d'exiger le consentement parental ; et à partir de 16 ans, il faut lui demander aussi son accord avant de traiter ses données, en particulier pour la conversation d'orientation, où les réponses sont les siennes et parlent de ce qu'il ressent.

7.6. Adolescents : leur voix compte

La conversation guidée d'orientation professionnelle recueille des réponses écrites par l'adolescent lui-même, dont une sur son état d'esprit, et les envoie à un tiers pour analyse. Cela ne devrait pas se produire sans que l'adolescent le sache et l'accepte. L’app lui demande son accord avant de commencer, avec des mots simples et pas un formulaire.

7.7. Aucune publicité, aucun profilage

Arbo n'affiche pas de publicité, ne fait pas de publicité comportementale, ne crée pas de profils commerciaux d'enfants et ne partage pas de données de mineurs avec des annonceurs, des courtiers en données ou des réseaux sociaux. C'est aussi ce qu'exigent expressément les règles d'Apple (ligne directrice 5.1.4) et la politique Familles de Google Play.

7.8. Minimisation

Ne demande pas et n'enregistre pas plus que nécessaire. Tous les champs sensibles d'Arbo — soutiens, besoins particuliers, notes de santé, notes d'émotions — sont facultatifs. Une fiche avec moins de données est une fiche avec moins de risque.

8. Comment nous protégeons les données

8.1. Ce qui est en place aujourd'hui

• Mots de passe conservés uniquement sous forme d'empreinte BCrypt ; jamais en clair.
• Sessions avec des jetons JWT signés (HMAC-SHA256), vérifiés en temps constant.
• Limitation du nombre de requêtes par IP, avec un seuil plus strict pour la connexion, l'inscription et OAuth, qui freine les attaques par force brute.
• Connexion fédérée avec une vérification cryptographique réelle des jetons Google et Apple contre leurs clés publiques officielles.
• Envoi de photos limité par type et par taille, avec des noms générés par le serveur, sans possibilité de traverser les répertoires, conservées dans un stockage privé sans accès public ni liens signés, et téléchargement toujours authentifié et toujours à travers notre serveur.
• Discussion par WebSocket authentifiée à l'ouverture de la connexion, avec le jeton hors de l'URL pour qu'il ne se retrouve pas dans les journaux d'accès.
• En-têtes de sécurité sur toutes les réponses, dont Cache-Control: no-store sur toute l'API, pour que les données de mineurs ne restent pas dans des caches intermédiaires.
• Aucun SQL écrit à la main : toutes les requêtes sont paramétrées.
• Erreurs génériques renvoyées au client ; le détail ne reste que dans le journal du serveur.
• Schéma versionné avec migrations et sauvegardes périodiques de la base de données.

8.2. Chiffrement

• En transit : en production, tout le trafic entre l'application et le serveur est chiffré en HTTPS/TLS. Cloudflare le déchiffre d'abord (section 5.6) et le chiffre de nouveau jusqu'à Render, dans le mode qui vérifie le certificat de notre serveur (Full (strict)) ; Render le déchiffre à sa périphérie et le remet au serveur, alors non chiffré, à l'intérieur de son propre réseau. Le serveur reconnaît les en-têtes qu'ajoutent ces intermédiaires — et refuse de démarrer sur Render s'il n'est pas configuré pour le faire —, afin d'envoyer HSTS (l'instruction de toujours utiliser https) et d'appliquer la limitation de requêtes sur ton IP réelle et non sur celle d'un intermédiaire. Entre le serveur et Cloudflare R2, les photos circulent toujours chiffrées (HTTPS) : le serveur refuse de démarrer si l'adresse de R2 ne l'est pas.
• Au repos : les photos sont conservées chiffrées au repos dans Cloudflare R2 (section 5.6). La base de données n'est pas accessible depuis internet, et l'accès de chaque famille est séparé de celui des autres (section 8.3).

8.3. Ce qui manque encore et qu'il faut dire

8.4. Accès du personnel

L'accès aux données de production est limité au personnel strictement nécessaire pour exploiter et maintenir le service. Nous ne lisons pas de façon courante les notes, les messages ni les photos des familles, et nous n'y accéderions qu'en cas de problème technique l'exigeant, d'obligation légale ou de risque grave pour une personne. Deux exceptions sont prévues par l'application elle-même : la copie d'une photo que le filtre a signalée (section 5.3) et la copie d'un message qu'un adulte a signalé (section 3.4), que notre équipe regarde pour décider quoi en faire. Seul le personnel de Better Planet qui exploite le service accède à l'administration, avec des identifiants personnels, et uniquement quand c'est nécessaire (par exemple, pour examiner une photo que le filtre a retenue).

8.5. Notification des violations de données

Si une faille de sécurité affectant des données personnelles se produit :

• Nous te préviendrons sans retard injustifié et, lorsque le risque le justifie, dans les 72 heures suivant sa découverte, par e-mail et dans l'application.
• Nous en informerons les autorités compétentes : l'Agence de protection des données personnelles du Chili, l'autorité de contrôle européenne le cas échéant, et les autorités des États américains qui l'exigent.
• Nous te dirons ce qui s'est passé, quelles données ont été touchées, ce que nous faisons et ce que tu peux faire.

8.6. Aucune mesure n'est parfaite

Aucun système connecté à internet n'est totalement sûr. Nous faisons ce qui est raisonnable, et nous le disons sans exagérer : nous ne pouvons pas garantir une sécurité absolue.

9. Combien de temps nous conservons les données, et comment elles sont effacées

9.1. Durées

9.2. Ce que « effacer » veut dire

Quand tu supprimes un enfant, le système efface pour de bon ses entrées de croissance, d'émotions, de santé, de médicaments, de scolarité, de progression, de quêtes, de résultats et d'entretiens d'orientation, ses appareils et signaux de traceur, ses réglages et ses mots de « Un mot par jour » (les langues choisies et le mot de chaque jour, appris ou non), les lignes du journal de vérification de ses photos, et il efface ses photos du stockage (Cloudflare R2, section 5.6), y compris leurs éventuelles copies en quarantaine. Il ne reste pas une fiche marquée « supprimée » : elle est effacée.

Quand la dernière personne de la famille ferme son compte, le système fait la même chose pour chaque enfant et efface aussi ce qui appartient à la famille et pas à un enfant : la discussion du cercle, le dicton de la semaine (la culture choisie et le dicton montré chaque semaine), le journal de vérification des photos de la famille avec ses copies en quarantaine, et son appartenance à un voisinage, dont le code d'invitation est alors remplacé. Tant qu'il reste d'autres adultes, les enfants et ce qui appartient à la famille restent (voir 8.3). Et la personne qui ferme son compte, qu'elle soit la dernière ou non, emporte aussi les lignes du journal de ses photos de profil et de couverture avec leurs copies en quarantaine, ses blocages et les signalements qu'elle a faits ou qui la concernent.

Sur le téléphone, se déconnecter ou supprimer le compte efface le rappel de « Un mot par jour » et annule ce qui était déjà programmé.

Exception honnête : les sauvegardes. Une donnée effacée aujourd'hui peut continuer d'exister dans une copie de sauvegarde jusqu'à ce que cette copie expire par rotation. Nous ne restaurons pas de sauvegardes pour récupérer des données effacées à la demande d'un utilisateur.

10. Tes droits

Tu as le droit :

Délai de réponse : nous répondrons dans les 30 jours calendaires, prolongeables lorsque la demande est complexe, en te prévenant.

Vérification : pour protéger les familles, avant de remettre ou d'effacer des données, nous vérifierons que la personne qui demande est bien la titulaire du compte.

Gratuité : exercer ces droits est gratuit, sauf pour les demandes manifestement infondées ou excessives.

10.1. Droits spécifiques des parents au titre de COPPA

Si tu es la mère, le père ou le tuteur d'un enfant de moins de 13 ans, tu as le droit de : consulter les informations personnelles que nous avons recueillies sur ton enfant ; demander que nous les effacions ; et refuser qu'elles continuent d'être recueillies ou utilisées, sans que cela t'empêche d'utiliser le reste de l'application. Écris à privacy@arbofamily.com.

10.2. Résidents de Californie et d'autres États américains

Better Planet ne vend ni ne partage d'informations personnelles au sens du CCPA/CPRA, et n'utilise pas de données personnelles pour de la publicité comportementale entre sites. Les résidents de Californie et des autres États dotés de lois équivalentes disposent de droits d'accès, d'effacement, de rectification et de non-discrimination pour les avoir exercés. Nous reconnaissons ces droits à toutes les personnes qui utilisent Arbo, que la loi de leur État nous y oblige ou non.

11. Décisions automatisées

Arbo ne prend aucune décision automatisée produisant des effets juridiques sur qui que ce soit. Les calculs de percentiles, les profils RIASEC, les « talents » et les réponses de l'IA sont du matériel informatif destiné à être interprété par une personne, et n'entraînent à eux seuls aucune conséquence.

12. Cookies et technologies similaires

L'application mobile n'utilise pas de cookies. Le site web — la page d'accueil, cette politique, les conditions et la page de suppression du compte, hébergés sur Cloudflare Pages (section 5.6) — se compose de fichiers statiques : il n'utilise pas de cookies d'analyse ni de publicité et ne charge rien de tiers, et la seule chose qu'il conserve dans ton navigateur, si tu utilises le bouton de thème de la page d'accueil, est ton choix entre le thème clair et le thème sombre. Cloudflare peut utiliser un cookie technique strictement nécessaire pour protéger le site contre le trafic automatisé.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique. Si la modification est substantielle — par exemple un nouveau tiers destinataire de données, ou une nouvelle finalité — nous préviendrons au moins 30 jours à l'avance par e-mail et dans l'application, et nous redemanderons ton consentement lorsque la loi l'exige. La date de la dernière version figure en haut. Si tu veux une version précédente, écris à privacy@arbofamily.com et nous te l’enverrons.

14. Contact et réclamations

Better Planet LLC 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA · Vie privée : privacy@arbofamily.com · Général : hola@arbofamily.com

Si notre réponse ne te satisfait pas, tu peux saisir :

• Chili : l'Agence de protection des données personnelles (dès son entrée en fonction). Pour les questions de consommation, le SERNAC.
• Union européenne / EEE : l'autorité de contrôle de ton pays de résidence.
• États-Unis : la Federal Trade Commission (FTC), sur reportfraud.ftc.gov.

Fin du document.